schutz vor DOS-Attacken in webanwendungen?
-
Hi
Du könntest pro IP nur einen Warenkorb zulassen. Das selbe für Benutzer.
Dann kann man aber immer noch die IP random spoofen, da man bei einer DoS-Attacke in der Regel nicht an der Antwort interressiert ist. Oder aber es ist erst möglich nach einem Login einen Warenkorb zu erstllen, dann brauchst du nur das Login absichern, und überwachen dass sich die IP des users nicht ändert.
Das nützt dir aber alles nicht wenn man deinen Server abschießt. Ausserdem gibt es eine Reihe von CGI-Vulns.
-
bei modernen Webservern sind Ping Floods = auf ip ban ... und ne DoS hat soviele Zugriffe das es für den Webserver wie ne Ping Flood wirkt ...
-
Original erstellt von SideWinder:
**<klugscheiss>
DoS und nicht DOS - DOS ist was anderes
</klugscheiss>MfG SideWinder**
DOS == Disk Operating System
DoS == ?????????????????????
-
DOS ist doch auch ein DoS
-
DoS = Denial of Service
-
Original erstellt von Bashar:
DOS ist doch auch ein DoS:D:D
DoS ... Denial of Service:
Dienstverweigerungsattacke, die; Subst. (denial of service attack)
Ein meist geplanter Versuch, den Zugang zum WWW zu stören. Eine Dienstverweigerungsattacke überschüttet einen Internetserver mit Verbindungsanforderungen, die nicht ausgeführt werden können. Der Server ist dann mit der Reaktion auf die Attacke so überlastet, dass er legitime Verbindungsanforderungen ignoriert. Bei einem Typ dieser Attacken, unter dem Namen »SYN Flood« bekannt, werden die Zugangsverbindungen des Servers mit falschen Nachrichten überschwemmt. Bei einem anderen Typ, »Ping of Death«, wird eine riesige Ping-Anforderung (ein Datenpaket) gesendet, wodurch ein Herunterfahren oder Neustarten des Servers bewirkt wird. Andere Formen der Dienstverweigerungsattacke beinhalten die Zerstörung oder Veränderung von Konfigurationsdaten des Servers (etwa Routerinformationen), den unberechtigten Zugang zu physikalischen Komponenten des Systems und die Versendung von großen Daten, was ein Herunterfahren oder Einfrieren des Systems verursachen kann.MfG SideWinder
-
ich hab schneller 20 zeichen gschrieben als du einen lexikon eintrag gecopied und gepasted hast ^^
-
Nein hast du nicht, ich musste vorher noch quoten und ebenfalls die selben 20 Zeichen schreiben.
MfG SideWinder
-
Original erstellt von prolog:
**HiDu könntest pro IP nur einen Warenkorb zulassen. Das selbe für Benutzer.
Dann kann man aber immer noch die IP random spoofen, da man bei einer DoS-Attacke in der Regel nicht an der Antwort interressiert ist. Oder aber es ist erst möglich nach einem Login einen Warenkorb zu erstllen, dann brauchst du nur das Login absichern, und überwachen dass sich die IP des users nicht ändert.
Das nützt dir aber alles nicht wenn man deinen Server abschießt. Ausserdem gibt es eine Reihe von CGI-Vulns.**hallo prolog,
bei mir geht es nicht darum den server gegen DoS zu schützen, sondern die anwendungen. für den server ist ja der provider zuständig...
ich möchte verhindern, dass im falle eines angriffes meine datanebank nicht mit müll überschwemmt wird.ich könnte natürlich die funktionen, die einem benutzer zugeordnet werden können, limitieren, wie z.b. ein waren-korb pro angemeldeten user.
aber wie soll man sowas z.b. bei registrierungen machen? ich kann ja nicht limitieren, dass sich pro tag z.b. maximal 100 user registrieren können. dann wäre das nach einem DoS angriff nicht mehr möglich. ich möchte allerdings auch nicht dass meine datenbank mit müll überschwemmt wird...
kann man sich denn gegen sowas überhaupt schützen? und wenn ja, wie?
gibt es eigetlich z.b. auch in diesem forum einen schutz gegen sowas?
jetzt sollte das hier natürlich keiner ausprobieren!Gruß mathik
-
@SideWinder Ich bin mit dem copy&paste nich ganz einverstanden
Es is doch eher so, das der PoD nicht eine "riesige Pinganfrage" ist, sondern ein zum standart inkompatibles Datenpaket. ich erzeuge also statt einem 32b Datenpacket ein 33b Packet (als Bsp.) sage aber gleichzeitig dem client, das er 32b erwarten soll. ->Pufferüberlauf beim puffern der Packete -> undefiniertes Verhalten
Sacht mir, wenn ich mich irre
[ Dieser Beitrag wurde am 06.07.2003 um 16:10 Uhr von THE_FreaK editiert. ]
-
Original erstellt von THE_FreaK:
**@SideWinder Ich bin mit dem copy&paste nich ganz einverstanden
Es is doch eher so, das der PoD nicht eine "riesige Pinganfrage" ist, sondern ein zum standart inkompatibles Datenpaket. ich erzeuge also statt einem 32b Datenpacket ein 33b Packet (als Bsp.) sage aber gleichzeitig dem client, das er 32b erwarten soll. ->Pufferüberlauf beim puffern der Packete -> undefiniertes Verhalten
Sacht mir, wenn ich mich irre
**Also der PoD nimmt ein Datenpalket was über 64kiB groß ist. Das ist eine "riesige Pinganfrage", wenn man so will und da gewisse Betriebssysteme auf sowa snicht gesichert waren, *bumm* Ich sehe im Moment nicht, dass so große Pings nicht standardkonform sind. Und ein Denial of Service ists im zweifelsfall auch schnell, wenn man das OS auf der Gegensiete rausfliegen lässt
